Richieste di conservazione e di emergenza Microsoft: Modello polizia

Microsoft è più riservata di altre piattaforme riguardo al modo in cui gestisce pubblicamente le richieste di conservazione e di emergenza. Pubblica un portale per le forze dell'ordine e una regola breve ma specifica per le richieste di emergenza, ma le sue pagine pubbliche che abbiamo potuto consultare non descrivono una procedura di conservazione. Questa guida spiega esattamente cosa pubblica Microsoft, cosa aggiunge lo statuto federale e fornisce modelli basati su queste due fonti, con le lacune evidenziate. Per la procedura completa per ottenere i dati di Outlook e degli account Microsoft, consulta la nostra guida alle richieste di dati alle forze dell'ordine da parte di Microsoft.

Chi può utilizzare questi canali

La pagina di destinazione del portale afferma che è riservato esclusivamente ai funzionari autorizzati delle forze dell'ordine che desiderano presentare ordini legittimi per la produzione di prove in relazione a un'indagine ufficiale, e che Microsoft valuta ogni richiesta caso per caso. Gli utenti confermano di essere funzionari autorizzati delle forze dell'ordine o dipendenti governativi, o di aver ricevuto l'accesso da Microsoft. L'indirizzo attualmente reindirizza a v2.leportal.microsoft.com, che mostra la stessa pagina.

Il pannello "Problemi di accesso?" del portale spiega la configurazione dell'account: per prima cosa si crea un account Microsoft non governativo (ad esempio un account Outlook o Hotmail) come forma secondaria di verifica, quindi lo si verifica durante la registrazione fornendo un indirizzo email governativo ufficiale; l'account Microsoft è la credenziale di accesso e l'indirizzo governativo verificato rappresenta il proprio account sul portale. Solo per problemi di accesso, il pannello elenca alias di supporto per regione (Stati Uniti: [email protected]; Stati membri dell'UE: [email protected]; Brasile: [email protected]; altri paesi: [email protected]) e un numero di telefono, +1 425-722-1299, opzione 2. Microsoft li presenta come contatti per il supporto all'accesso, non come canali per l'invio di richieste. Se sei una vittima, non puoi utilizzare il portale; denuncia il crimine alla polizia tramite l'hub di assistenza per il cybercrime del tuo paese.

Richieste di conservazione: cosa pubblica Microsoft

Le FAQ sui rapporti relativi alle richieste delle forze dell'ordine di Microsoft affermano che tutte le richieste arrivano attraverso il portale sicuro e che i dati che Microsoft decide di fornire vengono restituiti tramite lo stesso portale. Il suo rapporto rileva inoltre che Microsoft riceve varie forme di richieste legali dalle autorità del Regno Unito, incluse le richieste di conservazione. Oltre a ciò, le pagine che abbiamo letto non dicono:

• come una richiesta di conservazione venga inviata o etichettata all'interno del portale;
• quali identificatori accetta (indirizzo email dell'account Microsoft, numero di telefono, ecc.);
• per quanto tempo Microsoft conserva i dati conservati, o se il periodo può essere esteso;
• se il titolare dell'account venga informato di una conservazione.

Considera le opzioni all'interno del tuo account sul portale come l'autorità su questi punti. Non dare per scontato che Microsoft segua il periodo di conservazione di qualsiasi altra azienda.

Cosa dice lo statuto: 90 giorni, rinnovabili una volta

Ai sensi del 18 U.S.C. § 2703(f)(1), un fornitore di comunicazioni elettroniche o servizi di elaborazione remota, "su richiesta di un ente governativo, deve adottare tutte le misure necessarie per conservare i documenti e le altre prove in suo possesso in attesa dell'emissione di un ordine del tribunale o di altro procedimento". Ai sensi del § 2703(f)(2), i documenti "devono essere conservati per un periodo di 90 giorni, che deve essere esteso per un ulteriore periodo di 90 giorni su richiesta rinnovata dell'ente governativo". Questa è la regola dello statuto, non una dichiarazione di Microsoft, e la formulazione è invariata nel Codice degli Stati Uniti come pubblicato dall'Office of the Law Revision Counsel, aggiornato alla Public Law 119-124 (15 ottobre 2026); né il § 2702 né il § 2703 sono stati modificati dal 2018. Segna la data di scadenza e rinnova in tempo.

Il tipo di account e la posizione contano. Le FAQ del rapporto di Microsoft affermano che richiede un mandato di comparizione (subpoena) o equivalente prima di divulgare dati non relativi al contenuto e divulga il contenuto solo in risposta a un mandato (o equivalente locale), che i servizi nell'Unione Europea sono forniti da Microsoft Ireland Operations Limited, con sede in Irlanda, e che quando una richiesta cerca dati di un cliente aziendale (commerciale, governativo o educativo), tenta sempre di reindirizzare le forze dell'ordine affinché ottengano le informazioni direttamente da tale cliente.

Richieste di emergenza: cosa pubblica Microsoft

Microsoft afferma di prendere in considerazione le richieste di emergenza da parte delle forze dell'ordine di tutto il mondo quando la divulgazione è necessaria per prevenire un'emergenza che comporta pericolo di morte o gravi lesioni fisiche a una persona. I suoi requisiti dichiarati:

• la richiesta deve essere scritta, su carta intestata ufficiale e firmata da un'autorità delle forze dell'ordine;
• deve contenere una descrizione dell'emergenza;
• deve spiegare come le informazioni richieste aiuteranno le forze dell'ordine ad affrontare l'emergenza.

Microsoft afferma che ogni richiesta viene valutata dal suo team di conformità prima che i dati vengano divulgati e che la divulgazione è limitata ai dati che ritiene possano consentire alle forze dell'ordine di affrontare l'emergenza. Cita minacce di suicidio, rapimenti e altre minacce di violenza imminente come alcune delle richieste di emergenza più comuni e afferma di non addebitare costi per la conformità in situazioni di emergenza. Non promette tempi di risposta.

Lo statuto alla base dell'eccezione è il 18 U.S.C. § 2702(b)(8) (contenuti) e § 2702(c)(4) (documenti del cliente): un fornitore può divulgare a un ente governativo "se il fornitore, in buona fede, ritiene che un'emergenza che comporta pericolo di morte o gravi lesioni fisiche a qualsiasi persona richieda la divulgazione senza indugio". Il testo è permissivo.

Avviso. Microsoft afferma di fornire un preavviso agli utenti i cui dati sono richiesti, salvo ove proibito dalla legge, e può trattenere l'avviso in circostanze eccezionali, come emergenze in cui l'avviso potrebbe mettere in pericolo una persona o un gruppo identificabile (ad esempio indagini sullo sfruttamento minorile) o dove sarebbe controproducente (ad esempio un account hackerato). Fornisce un avviso ritardato dopo la scadenza di un valido ordine di non divulgazione, a meno che non permanga una circostanza eccezionale. Non specifica se una richiesta di conservazione da sola attivi l'avviso.

Dove inviarla: Le FAQ di Microsoft affermano che tutte le richieste delle forze dell'ordine arrivano attraverso il portale sicuro. Non pubblica alcun modulo di emergenza separato, indirizzo email o linea telefonica, e non ne abbiamo stampati nessuno. I contatti di supporto per l'accesso elencati dal portale sono solo per problemi di accesso.

Modello: richiesta di conservazione

Microsoft non pubblica alcun formato per la conservazione, quindi questo modello segue solo lo statuto. Adattalo al formato della tua agenzia e ai campi richiesti dal portale; non costituisce consulenza legale.

[AGENCY NAME]
[AGENCY ADDRESS]
Data: [DATE]

A: Microsoft Corporation (inviata tramite il Law Enforcement Request Portal)
Oggetto: Richiesta di conservazione dei dati, 18 U.S.C. sezione 2703(f)

Numero di caso dell'agenzia: [CASE NUMBER]
Funzionario richiedente: [NAME, TITLE/RANK], [OFFICIAL EMAIL], [OFFICE PHONE]

Identificativo account: [FULL MICROSOFT ACCOUNT OR OUTLOOK EMAIL ADDRESS]
Altri identificativi in possesso: [PHONE NUMBER / NONE]

Ai sensi della sezione 18 U.S.C. 2703(f), questa agenzia richiede di adottare tutte le misure necessarie per conservare i dati e le altre prove in vostro possesso relative all'account sopra indicato, inclusi [SUBSCRIBER INFORMATION / SIGN-IN AND IP RECORDS / MAIL HEADER RECORDS / STORED CONTENT], per il periodo dal [START DATE] al [END DATE], in attesa dell'emissione di un atto legale.

Atto legale in arrivo: [SEARCH WARRANT / COURT ORDER / SUBPOENA], previsto per il [DATE].
Ordine di non divulgazione: [ATTACHED, REFERENCE ____ / NONE]

Si prega di confermare la ricezione e il periodo di conservazione a [OFFICIAL EMAIL].
[NAME, TITLE/RANK]

Modello: richiesta di emergenza

Questo modello è redatto in base ai tre requisiti pubblicati da Microsoft. Stamparlo su carta intestata ufficiale e farlo firmare da un'autorità di polizia. Adattarlo al formato della propria agenzia; non costituisce consulenza legale.

[OFFICIAL AGENCY LETTERHEAD]
Data e ora: [DATE, TIME, TIME ZONE]

A: Microsoft Corporation (inviata tramite il Law Enforcement Request Portal)
Oggetto: Richiesta di emergenza per la divulgazione, 18 U.S.C. sezioni 2702(b)(8) e 2702(c)(4)
Numero di caso dell'agenzia: [CASE NUMBER]

Descrizione dell'emergenza: [DANGER OF DEATH OR SERIOUS PHYSICAL INJURY TO WHOM, WHAT HAS HAPPENED, WHEN YOU BECAME AWARE, AND WHY DISCLOSURE IS NEEDED WITHOUT DELAY]

Come le informazioni saranno d'aiuto: [HOW THE DATA WILL HELP LOCATE, IDENTIFY OR PROTECT THE PERSON]

Identificativo account: [FULL MICROSOFT ACCOUNT OR OUTLOOK EMAIL ADDRESS / OTHER IDENTIFIER]
Informazioni richieste (limitate a quanto necessario per gestire l'emergenza): [E.G. RECENT SIGN-IN IP ADDRESSES AND TIMESTAMPS / SUBSCRIBER INFORMATION]

Base legale: 18 U.S.C. sezioni 2702(b)(8) e 2702(c)(4). Seguirà un atto legale formale: [WARRANT/ORDER, EXPECTED DATE].

Contatto: [NAME, TITLE/RANK], [OFFICIAL EMAIL], [OFFICE PHONE], [MOBILE PHONE]

Firmato: [NAME, TITLE/RANK OF SIGNING LAW ENFORCEMENT AUTHORITY]

Errori comuni

• Inviare una richiesta di emergenza non firmata o in testo semplice. Microsoft richiede la forma scritta, carta intestata ufficiale e la firma di un'autorità di polizia.
• Omettere la spiegazione. Microsoft richiede sia una descrizione dell'emergenza che il modo in cui le informazioni saranno d'aiuto.
• Chiedere più di quanto necessario per l'emergenza. Microsoft afferma che la divulgazione è limitata ai dati che ritiene possano risolvere l'emergenza.
• Prendere di mira account aziendali presso Microsoft. Per i clienti commerciali, educativi o governativi, Microsoft afferma di tentare di reindirizzare le forze dell'ordine verso il cliente stesso.
• Presumere un periodo di conservazione. Microsoft non ne pubblica alcuno; fare affidamento sullo statuto e sul proprio account del portale, e rinnovare prima della scadenza dei 90 giorni.

Correlati

• Guida Microsoft per le richieste di dati da parte delle forze dell'ordine (procedura completa per i dati)
• Panoramica delle guide alle richieste delle forze dell'ordine per piattaforma
• Directory delle richieste di dati di polizia e il manuale per investigatori negli Stati Uniti

Fonti

• Microsoft Law Enforcement Request Portal
• Microsoft: Rapporto sulle richieste governative di dati dei clienti (FAQ)
• 18 U.S.C. § 2703 (GovInfo, edizione 2024) e § 2702; testo attuale: US Code, Office of the Law Revision Counsel (aggiornato alla legge pubblica 119-124)

Per altre piattaforme consultare la directory delle richieste di dati di polizia e, se sei una vittima anziché un investigatore, inizia dal centro di assistenza per il crimine informatico paese per paese. Questa guida riassume le fonti pubbliche consultate il 24 ottobre 2026; il portale potrebbe contenere istruzioni visibili solo agli utenti registrati, pertanto si consiglia di verificare i requisiti attuali direttamente lì. Non costituisce consulenza legale.